Príloha č. 1 k VOP: Zmluva o spracúvaní osobných údajov

Príloha č. 1 obchodných podmienok. Upravuje, ako RealOS spracúva údaje klientov tvojej kancelárie, kam idú pri použití AI a čo sa s nimi stane po skončení zmluvy.

Verzia 1.2. Účinná od 11. 9. 2026.

Táto príloha je neoddeliteľnou súčasťou Všeobecných obchodných podmienok služby RealOS (ďalej len „VOP"). Prijatím VOP prijímate aj túto prílohu. Samostatný podpis sa nevyžaduje. Ak je medzi touto prílohou a VOP rozpor v otázkach ochrany osobných údajov, prednosť má táto príloha.

Článok 1. Zmluvné strany a ich postavenie

1.1 Sprostredkovateľ: Velinor s. r. o., Košice (spoločnosť v zakladaní; sídlo, IČO a údaje o zápise v obchodnom registri doplníme po zápise), kontakt pre ochranu osobných údajov simko@nanomedia.pro (ďalej len „Poskytovateľ").

1.2 Prevádzkovateľ: podnikateľ, ktorý si zriadil v službe RealOS kanceláriu, teda realitná kancelária alebo samostatne podnikajúci realitný maklér, ktorý službu používa na svoju podnikateľskú činnosť (ďalej len „Klient"). Identifikačné údaje Klienta sú tie, ktoré Klient uviedol pri registrácii a v nastaveniach kancelárie.

1.3 Vo vzťahu k osobným údajom, ktoré Klient do služby vkladá o svojich klientoch, záujemcoch, zmluvných partneroch a iných tretích osobách, je Klient prevádzkovateľom a Poskytovateľ sprostredkovateľom v zmysle čl. 4 bod 7 a 8 a čl. 28 nariadenia (EÚ) 2016/679 (ďalej len „GDPR").

1.4 Vo vzťahu k údajom o samotnom Klientovi a o používateľoch jeho účtu, ktoré Poskytovateľ potrebuje na vedenie účtu, fakturáciu, bezpečnosť a plnenie svojich zákonných povinností, je Poskytovateľ prevádzkovateľom. Toto spracúvanie sa riadi dokumentom „Zásady ochrany osobných údajov RealOS", nie touto prílohou.

1.5 Poskytovateľ nie je povinnou osobou podľa zákona č. 297/2008 Z. z. Povinnou osobou je Klient. Poskytovateľ poskytuje len technický nástroj.

1.6 Poskytovateľ nie je poskytovateľom právnych služieb podľa zákona č. 586/2003 Z. z. o advokácii. Služba negeneruje vlastné právne vzory, vypĺňa výlučne šablóny, ktoré do nej nahral Klient.

Článok 2. Predmet a trvanie

2.1 Predmetom tejto prílohy je úprava práv a povinností strán pri spracúvaní osobných údajov, ktoré Poskytovateľ vykonáva pre Klienta pri poskytovaní služby RealOS.

2.2 Spracúvanie začína dňom aktivácie účtu Klienta a trvá po celý čas trvania zmluvy o poskytovaní služby vrátane bezplatného skúšobného obdobia.

2.3 Spracúvanie končí ukončením zmluvy o poskytovaní služby, s výnimkami podľa článku 13.

Článok 3. Povaha a účel spracúvania

3.1 Účel: poskytovanie funkcionality služby RealOS Klientovi: vedenie evidencie obchodných prípadov, osôb a nehnuteľností, generovanie dokumentov zo šablón Klienta, technická podpora AML povinností Klienta, uchovávanie príloh, evidencia nákladov a provízií.

3.2 Povaha spracovateľských operácií: získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, nahliadanie, používanie, vyhľadávanie, prepis reči na text, optické rozpoznávanie textu z obrázkov a PDF, generovanie textových návrhov jazykovým modelom, porovnávanie mien voči verejným sankčným zoznamom, zálohovanie, poskytnutie na export a výmaz.

3.3 AI spracúvanie. Ak má kancelária Klienta zapnuté AI funkcie, Poskytovateľ na účel diktovania, návrhov údajov a rozpoznávania textu odovzdáva obsah zadaný Klientom sub-sprostredkovateľom podľa Prílohy č. 2. AI nikdy nezapisuje údaje do databázy samostatne, výstup vždy potvrdzuje človek na strane Klienta. Výstup AI je návrh, nie rozhodnutie.

3.4 Žiadne automatizované individuálne rozhodovanie. Služba nevykonáva rozhodovanie s právnym účinkom podľa čl. 22 GDPR. Zhody voči sankčným zoznamom a označenia PEP sú len upozornenia so skóre, ktoré posudzuje človek na strane Klienta. Rozhodnutie o obchodnom vzťahu robí výlučne Klient.

3.5 Poskytovateľ nesmie spracúvané osobné údaje použiť na vlastné účely, najmä nie na trénovanie modelov, na štatistiky mimo agregovanej a anonymizovanej prevádzkovej telemetrie, ani na marketing voči osobám, ktorých údaje Klient vložil.

Článok 4. Kategórie dotknutých osôb a typ osobných údajov

4.1 Kategórie dotknutých osôb: predávajúci, kupujúci, prenajímatelia, nájomcovia, záujemcovia, spoluvlastníci, zástupcovia právnických osôb, koneční užívatelia výhod, protistrany, spolupracujúci makléri, zamestnanci a spolupracovníci Klienta.

4.2 Kategórie osobných údajov: meno a priezvisko, titul, adresa, dátum narodenia, rodné číslo alebo iný všeobecne použiteľný identifikátor, druh a číslo dokladu totožnosti, štátna príslušnosť, telefón, e-mail, bankové spojenie, údaje o nehnuteľnosti a vlastníctve, cena a finančné podmienky obchodu, obsah komunikácie a poznámok, obsah nahratých príloh, zvukový záznam diktovania, údaje o výsledku AML kontroly vrátane označenia PEP a možnej zhody so sankčným zoznamom.

4.3 Osobitné kategórie údajov podľa čl. 9 GDPR nie sú predmetom spracúvania. Klient sa zaväzuje ich do služby nevkladať. Rodné číslo nie je osobitnou kategóriou podľa čl. 9 GDPR, je však všeobecne použiteľným identifikátorom podľa § 78 ods. 4 zákona č. 18/2018 Z. z. (čl. 87 GDPR). Číslo dokladu totožnosti sa spracúva na základe § 7 a § 19 ods. 1 zákona č. 297/2008 Z. z.

4.4 Obmedzenie pri rodnom čísle a dokladoch totožnosti. Klient berie na vedomie, že podľa § 78 ods. 4 zákona č. 18/2018 Z. z. možno všeobecne použiteľný identifikátor použiť len vtedy, ak je to nevyhnutné na dosiahnutie účelu spracúvania. Klient sa preto zaväzuje:

• a) nenahrávať do funkcie rozpoznávania textu (OCR) a do AI panelu obrázky, skeny ani fotografie občianskych preukazov, pasov, vodičských preukazov ani iných dokladov totožnosti,
• b) rodné číslo a číslo dokladu totožnosti zadávať výlučne do na to určených polí AML modulu a karty osoby, kde sa neodovzdávajú AI sub-sprostredkovateľom.

Poskytovateľ na strane servera maskuje rodné číslo vo výstupoch AI a v textoch importu a nesprístupňuje rodné číslo ani číslo dokladu totožnosti nástrojom, ktoré číta jazykový model. Poskytovateľ nespracúva obsah nahratých obrázkov na účely ich klasifikácie a nedokáže preto s istotou rozpoznať, že nahratý obrázok je dokladom totožnosti. Ak Klient napriek tomuto zákazu nahrá doklad totožnosti, zodpovedá za to Klient; tým nie sú dotknuté nároky dotknutých osôb podľa čl. 82 GDPR voči ktorejkoľvek zo strán.

Článok 5. Pokyny prevádzkovateľa

5.1 Poskytovateľ spracúva osobné údaje len na základe zdokumentovaných pokynov Klienta, vrátane pokynov o prenose do tretej krajiny.

5.2 Zdokumentovanými pokynmi Klienta v zmysle čl. 28 ods. 3 písm. a) GDPR sú:

• a) tieto VOP vrátane tejto prílohy,
• b) nastavenia kancelárie a účtu v aplikácii, najmä nastavenia AML modulu a šablón, a po ich zavedení aj zapnutie alebo vypnutie AI funkcií a roly členov kancelárie,
• c) samotné používanie funkcií služby oprávneným používateľom Klienta; použitie AI funkcie oprávneným používateľom je pokynom a poverením na prenos podľa článku 8,
• d) písomné pokyny zaslané na kontaktný mail Poskytovateľa uvedený v čl. 1.1.

5.3 Ak Poskytovateľ dostane pokyn, ktorý je podľa jeho názoru v rozpore s GDPR alebo so zákonom č. 18/2018 Z. z., bezodkladne o tom Klienta informuje a je oprávnený výkon takého pokynu odmietnuť.

5.4 Ak je Poskytovateľ povinný spracúvať údaje na základe práva Európskej únie alebo Slovenskej republiky, informuje o tom Klienta pred spracúvaním, ibaže je takéto informovanie zakázané z dôvodov verejného záujmu.

5.5 Poskytovateľ nie je povinný posudzovať, či má Klient pre vložené údaje právny základ; bod 5.3 tým nie je dotknutý. Klient vyhlasuje, že takýto právny základ má a že si voči dotknutým osobám splnil informačnú povinnosť podľa čl. 13 a 14 GDPR, vrátane informácie o zapojení Poskytovateľa a o prenose do tretích krajín pri AI funkciách.

Článok 6. Povinnosti Poskytovateľa ako sprostredkovateľa

Poskytovateľ v súlade s čl. 28 ods. 3 GDPR:

6.1 písm. a) spracúva osobné údaje len na základe zdokumentovaných pokynov Klienta podľa článku 5; 6.2 písm. b) zabezpečuje, aby sa osoby oprávnené spracúvať osobné údaje zaviazali k mlčanlivosti alebo aby sa na ne vzťahovala zákonná povinnosť mlčanlivosti; mlčanlivosť trvá aj po skončení spolupráce s takou osobou; 6.3 písm. c) prijíma všetky opatrenia požadované podľa čl. 32 GDPR; konkrétne opatrenia sú uvedené v Prílohe č. 3; 6.4 písm. d) dodržiava podmienky zapojenia ďalšieho sprostredkovateľa podľa čl. 28 ods. 2 a 4 GDPR a podľa článku 7 tejto prílohy; 6.5 písm. e) je Klientovi nápomocný vhodnými technickými a organizačnými opatreniami pri plnení jeho povinnosti reagovať na žiadosti dotknutých osôb podľa kapitoly III GDPR; služba na tento účel poskytuje priamo v aplikácii export všetkých údajov kancelárie vo formáte JSON, opravu a doplnenie záznamov a výmaz; 6.6 písm. f) je Klientovi nápomocný pri plnení povinností podľa čl. 32 až 36 GDPR v rozsahu primeranom povahe spracúvania a informáciám, ktoré má k dispozícii; na tento účel zverejňuje Prílohu č. 2 a Prílohu č. 3 a na žiadosť poskytne informačný podklad o prenosoch do tretích krajín; 6.7 písm. g) po ukončení poskytovania služby vymaže alebo vráti Klientovi všetky osobné údaje podľa článku 13 tejto prílohy; 6.8 písm. h) poskytne Klientovi všetky informácie potrebné na preukázanie splnenia povinností podľa čl. 28 GDPR a umožní audit podľa článku 12 tejto prílohy; 6.9 vedie záznamy o kategóriách spracovateľských činností vykonávaných v mene Klienta podľa čl. 30 ods. 2 GDPR a na žiadosť ich Klientovi sprístupní.

Článok 7. Sub-sprostredkovatelia

7.1 Klient týmto udeľuje Poskytovateľovi všeobecné písomné povolenie podľa čl. 28 ods. 2 GDPR na zapojenie ďalších sprostredkovateľov (ďalej len „sub-sprostredkovatelia").

7.2 Aktuálny zoznam sub-sprostredkovateľov tvorí Prílohu č. 2 a je zverejnený na adrese /sub-sprostredkovatelia.

7.3 Poskytovateľ oznámi Klientovi najmenej 30 dní vopred e-mailom každé zamýšľané pridanie alebo nahradenie sub-sprostredkovateľa, s uvedením názvu, sídla, účelu, miesta spracúvania a mechanizmu prenosu, ak ide o tretiu krajinu.

7.4 Klient je oprávnený proti zmene namietať do 15 dní od doručenia oznámenia z odôvodnených dôvodov ochrany osobných údajov alebo bezpečnosti, písomne na kontaktný mail Poskytovateľa. Námietka musí obsahovať konkrétny dôvod týkajúci sa ochrany osobných údajov alebo bezpečnosti; námietka bez uvedenia dôvodu sa nepovažuje za námietku podľa tohto bodu.

7.5 Ak strany do 30 dní od námietky nenájdu riešenie (za hľadanie riešenia sa považuje aj písomný návrh Poskytovateľa, na ktorý Klient do 15 dní nereagoval; v takom prípade sa má za to, že riešenie bolo nájdené), Klient je oprávnený zmluvu o poskytovaní služby vypovedať s okamžitou účinnosťou a bez sankcie, s nárokom na vrátenie pomernej časti vopred zaplatenej odplaty. Toto je jediný a výlučný následok námietky. Poskytovateľ nie je povinný zmenu sub-sprostredkovateľa zvrátiť.

7.6 Poskytovateľ uloží každému sub-sprostredkovateľovi zmluvou rovnaké povinnosti ochrany údajov, aké má sám podľa tejto prílohy, v rozsahu primeranom povahe jeho služby. Poskytovateľ zostáva Klientovi plne zodpovedný za plnenie povinností sub-sprostredkovateľa podľa čl. 28 ods. 4 GDPR.

7.7 Zmena sub-sprostredkovateľa vynútená technickou nevyhnutnosťou alebo naliehavým bezpečnostným dôvodom môže byť oznámená aj v kratšej lehote. Právo namietať podľa bodu 7.4 trvá 15 dní od oznámenia a lehota podľa bodu 7.5 zostáva zachovaná.

Článok 8. Prenos osobných údajov do tretích krajín

8.1 Klient berie na vedomie a výslovne poveruje Poskytovateľa, aby pri poskytovaní AI funkcií prenášal osobné údaje do Spojených štátov amerických nasledujúcim sub-sprostredkovateľom:

• a) Anthropic (jazykový model, AI panel, rozpoznávanie textu z obrázkov a PDF). Zmluvnou stranou pre zákazníkov z Európskeho hospodárskeho priestoru je Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Írsko, s írskym rozhodným právom. Z írskej zmluvnej strany však NEVYPLÝVA, že údaje ostávajú v Európskom hospodárskom priestore: samotná inferencia jazykového modelu beží mimo neho, spravidla v Spojených štátoch. Cloudová infraštruktúra dodávateľa je vedená ako celosvetová a jeho podpora používateľov beží aj cez sub-sprostredkovateľa v Južnej Afrike, na ktorú sa nevzťahuje rozhodnutie Komisie o primeranosti, a cez sub-sprostredkovateľa v Kanade.

• b) ElevenLabs (prepis reči na text pri diktovaní). Spracúvanie prebieha mimo Európskeho hospodárskeho priestoru, spravidla v Spojených štátoch. Použitie obsahu na trénovanie modelov je vylúčené nastavením účtu Poskytovateľa, teda nastavením, nie zmluvou; vypnutie nepôsobí spätne. Režim nulovej retencie ani uloženie údajov v Európskej únii nie sú na pláne Poskytovateľa dostupné (sú to funkcie plánu Enterprise) a doba uchovávania nahratého zvuku nie je zmluvne určená: dodávateľ si mazanie po 180 dňoch nečinnosti len vyhradzuje, nezaväzuje sa k nemu. Poskytovateľ to priznáva ako zvyškové riziko; jediné účinné opatrenie je nediktovať rodné čísla a čísla dokladov totožnosti. Certifikácia dodávateľa v registri EU-US Data Privacy Framework nekryje entitu Eleven Labs Poland sp. z o.o.; pre prenosy cez túto entitu sú mechanizmom výlučne štandardné zmluvné doložky.

8.2 Poskytovateľ výslovne vyhlasuje, že pri zapnutých AI funkciách osobné údaje neostávajú výlučne na území Európskeho hospodárskeho priestoru. Poskytovateľ netvrdí a Klient nesmie voči svojim klientom tvrdiť opak.

8.3 Databáza, autentifikácia a úložisko príloh sú umiestnené v regióne Európskej únie u sub-sprostredkovateľa Supabase. Prevádzkové záznamy Supabase sa spracúvajú v službe BigQuery od Google Cloud a funkcia realtime beží cez Fly.io, teda mimo regiónu projektu. Aplikačné funkcie bežia spravidla v regióne Štokholm (arn1, Švédsko) u sub-sprostredkovateľa Vercel; pri výpadku regiónu môžu byť dočasne spracúvané v inom regióne. Nastavenie regiónu arn1 obmedzuje LEN beh serverless funkcií: smerovacia vrstva beží vo všetkých regiónoch, obsahová sieť je celosvetová, interné zálohy platformy sú celosvetovo replikované s dobou uchovávania 30 dní a región zostavovacích procesov dodávateľ nezverejňuje. Prevádzkové a chybové záznamy, zostavovacie procesy a interné zálohy platformy Vercel preto nie sú regionálne obmedzené na EHP a môžu byť spracúvané v Spojených štátoch alebo inde mimo EHP. Prenos k Vercelu je krytý štandardnými zmluvnými doložkami a certifikáciou v rámci EU-US Data Privacy Framework. Sprostredkovateľská zmluva s Vercelom podľa čl. 28 GDPR v znení k 17. 3. 2026 sa podľa svojho vlastného textu uzatvára pre plány Pro a Enterprise; Poskytovateľ prechod na plán Pro dokončuje a až do jeho dokončenia ide o známu medzeru, ktorú Poskytovateľ priznáva. Do prevádzkových záznamov sa nezapisuje rodné číslo ani číslo dokladu totožnosti.

8.4 Poskytovateľ na žiadosť Klienta bezplatne poskytne podkladový dokument k posúdeniu vplyvu prenosu (transfer impact assessment) obsahujúci opis toku údajov, kategórií údajov, mechanizmov prenosu a doplnkových opatrení, aby si Klient mohol splniť vlastnú povinnosť podľa čl. 44 až 46 GDPR.

8.5 Doplnkové opatrenia pri prenose podľa bodu 8.1: šifrovanie prenosu protokolom TLS; maskovanie rodného čísla a čísla dokladu totožnosti vo výstupoch AI funkcií; vylúčenie rodného čísla a čísla dokladu totožnosti z dát prístupných jazykovému modelu; vylúčenie trénovania na obsahu zákazníka (zmluvne u Anthropicu, nastavením účtu u ElevenLabs); obmedzenie povolenej oblasti inferencie u Anthropicu na jedinú známu krajinu, keďže jeho rozhranie pripúšťa len hodnoty us a global a Poskytovateľ má nastavené us (spracúvanie v Európskej únii dodávateľ neponúka, prínosom teda nie je EÚ, ale istota jednej známej cieľovej krajiny); režim nulovej retencie u Anthropicu, ktorý je pre modely používané Službou dostupný; odosielanie príloh Klienta výhradne vnorene v rozhraní Messages, pretože rozhrania Files a Batch režim nulovej retencie nepodporujú a Poskytovateľ ich preto nepoužíva; obmedzená doba uchovávania u sub-sprostredkovateľa a možnosť vypnutia AI funkcií pre kanceláriu podľa bodu 8.6.

8.6 Vypnutie AI funkcií. Prenos podľa bodu 8.1 nastáva len vtedy, keď oprávnený používateľ Klienta použije diktovanie, AI panel alebo rozpoznávanie textu; ak tieto funkcie nepoužije, sub-sprostredkovateľom podľa bodu 8.1 sa neodovzdáva nič. Ak si Klient neželá, aby sa pri práci jeho kancelárie AI funkcie využívali, oznámi to Poskytovateľovi písomne; Poskytovateľ AI funkcie pre kanceláriu vypne do dvoch pracovných dní a od toho okamihu sub-sprostredkovateľom podľa bodu 8.1 neodovzdáva žiadne osobné údaje. Služba je používateľná bez AI. Ak Poskytovateľ zavedie samoobslužné nastavenie na vypnutie AI funkcií na úrovni kancelárie, oznámi to podľa článku 15.

8.7 Ak právny mechanizmus prenosu podľa bodu 8.1 prestane byť platný, Poskytovateľ bez zbytočného odkladu buď zabezpečí náhradný mechanizmus, alebo príslušnú funkciu pozastaví, a Klienta o tom informuje.

8.8 Zastavenie prenosu (doložka 14 písm. f) štandardných zmluvných doložiek). Klient je ako prevádzkovateľ oprávnený dať Poskytovateľovi pokyn prerušiť prenos osobných údajov do tretej krajiny. Poskytovateľ taký pokyn vykoná bez zbytočného odkladu a príslušnú AI funkciu pre kanceláriu Klienta pozastaví. Poskytovateľ je povinný prerušiť prenos aj sám od seba, ak sa dôvodne domnieva, že pre prenášané osobné údaje nemožno zabezpečiť primeranú úroveň ochrany, a rovnako vtedy, ak mu to uloží príslušný dozorný orgán. O prerušení a o jeho dôvode Klienta informuje.

8.9 Postupovanie oznámení (doložky 14 a 15 štandardných zmluvných doložiek, Modul 3). Oznámenie podľa doložky 14 písm. e) o zmene právneho poriadku alebo praxe v tretej krajine, ktorá môže ohroziť záruky prenosu, oznámenie podľa doložky 15.1 písm. a) o právne záväznej žiadosti orgánu tretej krajiny o sprístupnenie prenášaných údajov a oznámenie podľa doložky 15.1 písm. c) o priamom prístupe orgánu verejnej moci k prenášaným údajom Poskytovateľ postupuje Klientovi ako prevádzkovateľovi bez zbytočného odkladu. Posúdenie zákonnosti žiadosti podľa doložky 15.2 písm. b) Poskytovateľ Klientovi na požiadanie sprístupní. Poskytovateľ vedie na tento účel písomný postup a na žiadosť ho Klientovi poskytne.

Článok 9. Bezpečnosť spracúvania

9.1 Poskytovateľ prijal a udržiava technické a organizačné opatrenia podľa čl. 32 GDPR uvedené v Prílohe č. 3.

9.2 Poskytovateľ je oprávnený opatrenia meniť, ak nová úroveň ochrany nebude nižšia než pôvodná. Podstatné zmeny oznámi rovnakým spôsobom ako zmenu VOP.

9.3 Klient zodpovedá za bezpečnosť na svojej strane, najmä za silu a utajenie hesiel, za správne nastavenie rolí členov kancelárie, za odobratie prístupu odchádzajúcim spolupracovníkom a za to, aké údaje do služby vkladá.

Článok 10. Porušenie ochrany osobných údajov

10.1 Poskytovateľ oznámi Klientovi každé porušenie ochrany osobných údajov spracúvaných v mene Klienta bez zbytočného odkladu, najneskôr do 48 hodín od okamihu, keď sa o ňom dozvedel.

10.2 Oznámenie sa doručuje e-mailom na kontaktnú adresu účtu Klienta a obsahuje, v rozsahu dostupnom v čase oznámenia: opis povahy porušenia, kategórie a približný počet dotknutých osôb a záznamov, pravdepodobné následky, prijaté a navrhované opatrenia a kontaktný bod. Chýbajúce informácie Poskytovateľ doplní priebežne.

10.3 Oznámenie dozornému orgánu podľa čl. 33 GDPR a dotknutým osobám podľa čl. 34 GDPR robí Klient ako prevádzkovateľ. Poskytovateľ mu poskytne primeranú súčinnosť a podklady dodá bezodkladne, aby Klient stihol lehotu 72 hodín podľa čl. 33 ods. 1 GDPR, ktorá sa počíta od okamihu, keď sa o porušení dozvedel Poskytovateľ; ak Poskytovateľ v lehote podľa bodu 10.1 nemá úplné informácie, odošle predbežné oznámenie s tým, čo vie. Poskytovateľ neoznamuje porušenie dozornému orgánu ani dotknutým osobám v mene Klienta, ak sa strany písomne nedohodnú inak.

10.4 Poskytovateľ vedie internú evidenciu porušení a na žiadosť z nej Klientovi poskytne výpis týkajúci sa jeho kancelárie.

Článok 11. Pomoc pri právach dotknutých osôb

11.1 Ak sa dotknutá osoba obráti so žiadosťou priamo na Poskytovateľa, Poskytovateľ ju nevybaví sám, ale bez zbytočného odkladu ju postúpi Klientovi a dotknutú osobu o tom informuje.

11.2 Poskytovateľ poskytuje Klientovi na vybavenie žiadostí tieto nástroje priamo v aplikácii: export všetkých údajov kancelárie vo formáte JSON, vyhľadanie osoby naprieč obchodmi, oprava a doplnenie záznamu, výmaz záznamu a zrušenie účtu.

11.3 Ak nástroje podľa bodu 11.2 nestačia, Poskytovateľ poskytne súčinnosť nad rámec štandardnej podpory. Za takúto súčinnosť si môže účtovať primeranú náhradu vo výške 40 € za každú začatú hodinu, ak žiadosť nevznikla zavinením Poskytovateľa a ak ide o opakovanú alebo neprimerane rozsiahlu súčinnosť. Prvú takúto súčinnosť v kalendárnom roku poskytuje bezplatne.

11.4 Ak Klient požiada Poskytovateľa o vykonanie výmazu, opravy alebo poskytnutia kópie údajov konkrétnej dotknutej osoby, Poskytovateľ ho odkáže na nástroje podľa bodu 11.2, ktoré tieto úkony umožňujú vykonať priamo. Záznamy v AML module nemožno zmeniť ani vymazať pred uplynutím lehoty podľa § 19 ods. 2 zákona č. 297/2008 Z. z.; toto obmedzenie Poskytovateľ nemôže obísť ani na pokyn Klienta.

Článok 12. Audit a preukazovanie súladu

12.1 Poskytovateľ preukazuje splnenie povinností podľa čl. 28 GDPR primárne formou dokumentácie: touto prílohou, Prílohou č. 2, Prílohou č. 3, opisom tokov údajov, prehľadom mechanizmov prenosu a písomnými odpoveďami na otázky Klienta. Odpovedá do 30 dní od doručenia žiadosti.

12.2 Klient je oprávnený požiadať o audit najviac raz za 12 mesiacov, s výnimkou prípadu, keď audit nariadi dozorný orgán, keď došlo k porušeniu ochrany osobných údajov podľa článku 10, alebo keď Poskytovateľ podstatne zmení sub-sprostredkovateľa, miesto spracúvania alebo mechanizmus prenosu.

12.3 Prevádzka služby je zabezpečovaná výlučne prostredníctvom infraštruktúry sub-sprostredkovateľov podľa Prílohy č. 2; Poskytovateľ neprevádzkuje vlastné serverovne, preto sa audit na mieste obmedzuje na organizačné opatrenia a dokumentáciu a audit infraštruktúry sub-sprostredkovateľov sa vykonáva výlučne prostredníctvom ich vlastných správ a certifikácií, ktoré Poskytovateľ na požiadanie sprístupní. Audit sa primárne vykonáva na diaľku, formou dotazníka a poskytnutia dokumentácie. Audit na mieste je prípustný len vtedy, ak dokumentácia nestačí a Klient uvedie konkrétne a dôvodné podozrenie z porušenia povinností Poskytovateľa.

12.4 Audit na mieste sa oznamuje najmenej 30 dní vopred, vykonáva sa v pracovných dňoch a v pracovnom čase, nesmie neprimerane zasiahnuť do prevádzky Poskytovateľa a nesmie ohroziť dôvernosť údajov iných zákazníkov. Audítor musí byť viazaný mlčanlivosťou a nesmie byť konkurentom Poskytovateľa.

12.5 Náklady auditu znáša Klient, vrátane primeranej náhrady času Poskytovateľa vo výške 40 € za každú začatú hodinu; výkon auditu nesmie byť podmienený úhradou nákladov vopred. To neplatí, ak audit preukáže podstatné porušenie povinností Poskytovateľa; v takom prípade náklady znáša Poskytovateľ.

12.6 Poskytovateľ nie je povinný sprístupniť informácie týkajúce sa iných zákazníkov, obchodné tajomstvo ani bezpečnostné údaje, ktorých sprístupnenie by ohrozilo bezpečnosť služby.

Článok 13. Ukončenie, vrátenie a výmaz údajov

13.1 Klient si môže kedykoľvek počas trvania zmluvy stiahnuť kompletný export údajov svojej kancelárie vo formáte JSON priamo v nastaveniach služby.

13.2 Po ukončení zmluvy Poskytovateľ sprístupní údaje na export po dobu 30 dní odo dňa ukončenia. Po uplynutí tejto lehoty osobné údaje vymaže z produkčných systémov, s výnimkami podľa bodov 13.4 a 13.5.

13.3 Zo záložných kópií sa údaje odstránia v rámci štandardného cyklu prepisovania záloh, najneskôr do 30 dní od výmazu z produkčných systémov. Do tej doby sú zálohy šifrované a neprístupné bežnej prevádzke. Lehota na vymazanie údajov u sub-sprostredkovateľa Vercel po skončení jeho zmluvy nie je v jeho sprostredkovateľskej zmluve v znení k 17. 3. 2026 určená počtom dní, ale ako obchodne primeraná lehota; staršie znenie s lehotou 60 dní sa už neuplatňuje.

13.4 Záznamy AML modulu. Klient ako povinná osoba je podľa § 19 ods. 2 zákona č. 297/2008 Z. z. povinný uchovávať údaje a písomné doklady získané pri starostlivosti o klienta päť rokov od skončenia zmluvného vzťahu s klientom alebo od vykonania príležitostného obchodu mimo obchodného vzťahu. Poskytovateľ nie je povinnou osobou a povinnosť uchovávania sa na neho nevzťahuje; výnimka podľa čl. 28 ods. 3 písm. g) GDPR sa preto na Poskytovateľa neuplatňuje. Preto:

• a) počas trvania zmluvy sa záznamy AML modulu nedajú zmeniť ani zmazať pred uplynutím zákonnej lehoty, a to ani zrušením jednotlivého záznamu alebo prihlasovacieho účtu člena;
• b) Poskytovateľ najneskôr v deň ukončenia zmluvy vyexportuje záznamy AML modulu vrátane príloh a odovzdá ich Klientovi v strojovo čitateľnej podobe, aby si Klient mohol svoju zákonnú povinnosť plniť sám; export je dostupný po dobu podľa bodu 13.2;
• c) po uplynutí lehoty podľa bodu 13.2 Poskytovateľ tieto záznamy vymaže rovnako ako ostatné osobné údaje a na žiadosť vydá potvrdenie podľa bodu 13.6;
• d) za uchovanie záznamov po zákonom stanovenú dobu po ukončení zmluvy zodpovedá výlučne Klient.

13.5 Poskytovateľ je oprávnený uchovávať údaje aj po lehotách podľa tohto článku v rozsahu, v akom mu to ukladá právo Európskej únie alebo Slovenskej republiky, najmä účtovné a daňové doklady, a v rozsahu nevyhnutnom na uplatnenie alebo obranu právnych nárokov.

13.6 Poskytovateľ na písomnú žiadosť Klienta vydá potvrdenie o vykonaní výmazu.

Článok 14. Zodpovednosť

14.1 Každá strana zodpovedá za škodu spôsobenú porušením svojich povinností podľa GDPR a tejto prílohy. Zodpovednosť voči dotknutým osobám sa spravuje čl. 82 GDPR.

14.2 Klient zodpovedá za existenciu právneho základu spracúvania, za splnenie informačnej povinnosti voči dotknutým osobám, za správnosť a aktuálnosť vložených údajov a za dodržanie obmedzení podľa článku 4.4.

14.3 Ak bola Poskytovateľovi uložená povinnosť náhrady škody alebo mu vznikli náklady v dôsledku toho, že Klient porušil povinnosti podľa bodu 14.2, najmä nahratím dokladu totožnosti do funkcie rozpoznávania textu alebo do AI panelu, Klient Poskytovateľovi túto škodu a náklady nahradí. To sa nevzťahuje na pokuty a iné správne sankcie uložené priamo Poskytovateľovi za jeho vlastné porušenie právneho predpisu.

14.4 Obmedzenia zodpovednosti dohodnuté vo VOP sa nevzťahujú na nároky dotknutých osôb podľa čl. 82 GDPR ani na sankcie dozorného orgánu.

Článok 15. Záverečné ustanovenia

15.1 Táto príloha sa mení spolu s VOP. Zmenu Poskytovateľ oznámi e-mailom najmenej 30 dní vopred. Ak Klient so zmenou nesúhlasí, môže zmluvu do dňa účinnosti zmeny vypovedať bez sankcie, s nárokom na vrátenie pomernej časti odplaty. Pokračovanie v používaní služby po dni účinnosti sa považuje za prijatie zmeny.

15.2 Poskytovateľ je oprávnený previesť práva a povinnosti z tejto prílohy a zo zmluvy o poskytovaní služby na nástupnícku alebo prepojenú spoločnosť, ktorá bude službu RealOS prevádzkovať. Prevod oznámi najmenej 30 dní vopred spolu s identifikačnými údajmi nadobúdateľa. Klient je oprávnený z tohto dôvodu zmluvu do dňa účinnosti prevodu vypovedať bez sankcie. Prevod nesmie znížiť úroveň ochrany osobných údajov.

15.3 Táto príloha sa spravuje právom Slovenskej republiky a nariadením GDPR. Na spory sú príslušné súdy Slovenskej republiky.

15.4 Ak sa niektoré ustanovenie stane neplatným, ostatné zostávajú v platnosti a strany ho nahradia ustanovením s najbližším významom.

Príloha č. 2: Zoznam sub-sprostredkovateľov

Verzia zoznamu: 1.2, platná od 11. 9. 2026. Aktuálna verzia je vždy na /sub-sprostredkovatelia. Odber oznámení o zmenách: simko@nanomedia.pro.

Sankčné zoznamy OSN a EÚ sa sťahujú z verejných zdrojov na server Poskytovateľa. Pri tejto operácii sa žiadne osobné údaje klientov Klienta neodovzdávajú tretím stranám.

Poznámka k reťazcu spracúvania (stav ku dňu účinnosti). Prenos k Vercelu je krytý štandardnými zmluvnými doložkami a certifikáciou v rámci EU-US Data Privacy Framework. Sprostredkovateľská zmluva s Vercelom podľa čl. 28 GDPR v znení k 17. 3. 2026 sa podľa svojho vlastného textu uzatvára pre plány Pro a Enterprise; Poskytovateľ prechod na plán Pro dokončuje a až do jeho dokončenia ide o známu medzeru, ktorú Poskytovateľ priznáva. Spoločnosť Anthropic PBC nie je uvedená na zozname sub-sprostredkovateľov dodávateľa a jeho sprostredkovateľská zmluva neoznačuje prepojené osoby za sub-sprostredkovateľov, takže vnútroskupinový prenos z írskej zmluvnej strany do Spojených štátov nie je v reťazci menovite zdokumentovaný; Poskytovateľ to uvádza ako známu medzeru. Lehota na vymazanie údajov u sub-sprostredkovateľa Vercel po skončení jeho zmluvy je v znení k 17. 3. 2026 určená ako obchodne primeraná lehota, nie počtom dní. Doby uchovávania u dodávateľa jazykového modelu: obsah požiadavky 30 dní, obsah označený automatickými systémami až 2 roky, klasifikačné skóre bezpečnostných systémov až 7 rokov, údaje zo spätnej väzby 5 rokov; režim nulovej retencie je pre modely používané Službou dostupný a Poskytovateľ posiela prílohy výhradne vnorene v rozhraní Messages, ktoré ho podporuje. U dodávateľa prepisu reči doba uchovávania zmluvne určená nie je.

Príloha č. 3: Technické a organizačné opatrenia (čl. 32 GDPR)

1. Šifrovanie a prenos 1.1 Komunikácia medzi prehliadačom a aplikáciou a medzi aplikáciou a sub-sprostredkovateľmi je šifrovaná protokolom TLS. 1.2 Údaje v databáze a v úložisku príloh sú šifrované v pokoji na strane poskytovateľa infraštruktúry.

2. Riadenie prístupu 2.1 Údaje sú oddelené podľa kancelárie na úrovni databázy pravidlami Row Level Security podľa identifikátora kancelárie. 2.2 Každá serverová akcia nezávisle overuje identitu používateľa aj jeho príslušnosť ku kancelárii. Overenie sa nespolieha na hodnoty z prehliadača. 2.3 Servisný kľúč s rozšírenými oprávneniami existuje výlučne na serveri, nikdy sa neposiela do prehliadača. 2.4 Každá kancelária má ku dňu účinnosti jedného člena, ktorý je jej správcom; správa členov a rolí sa zavedie a oznámi podľa článku 15. Pripojenie a odpojenie člena vykonáva do zavedenia Poskytovateľ na žiadosť správcu. 2.5 Heslo má minimálnu dĺžku 8 znakov, ukladá sa výlučne ako hash. Registrácia sa potvrdzuje e-mailom. 2.6 Počet neúspešných pokusov o prihlásenie je počítaný a obmedzený. E-mailová adresa sa na tento účel ukladá hashovaná so soľou spolu s IP adresou. 2.7 Kvótové a zákonné záznamy (spotreba AI funkcií, záznamy AML modulu) sa zapisujú výhradne serverom; prihlásený používateľ ich nemôže meniť ani mazať. Záznam AML modulu nemožno zmeniť vôbec a zmazať ho možno až po uplynutí zákonnej lehoty uchovávania. Podpísaný dokument sa neprepisuje.

3. Minimalizácia a maskovanie 3.1 Rodné číslo a číslo dokladu totožnosti sa maskujú vo výstupoch AI funkcií a v textoch importu. Maskovanie sa vzťahuje výlučne na výstupy AI funkcií; kópia dokladu totožnosti, ktorú Klient uchováva podľa § 19 ods. 5 zákona č. 297/2008 Z. z., musí zostať čitateľná a v pôvodnej kvalite, a preto sa nemaskuje ani neupravuje. Starostlivosť podľa § 12 toho istého zákona je zvýšená starostlivosť; § 11 upravuje zjednodušenú starostlivosť. 3.2 Rodné číslo a číslo dokladu totožnosti nie sú súčasťou dát prístupných jazykovému modelu prostredníctvom nástrojov aplikácie. Toto neplatí pre funkciu rozpoznávania textu z obrázkov a skenov, kde sa do modelu odosiela obrazová predloha ako celok; jej výstup sa maskuje. 3.3 Rodné číslo a číslo dokladu totožnosti sa nezapisujú do prevádzkových a chybových záznamov. V zoznamoch sa zobrazujú len skrátene.

4. Bezpečnosť aplikácie 4.1 Nastavené hlavičky Content Security Policy. 4.2 Aplikácia nie je indexovaná vyhľadávačmi. 4.3 Limity nahrávania: 50 MB na súbor, 1 GB na každého používateľa účtu (spoločné pre celú kanceláriu). Povolené typy: PDF, docx, jpg, png, webp, mp4, mov.

5. Dostupnosť a obnova 5.1 Zálohovanie databázy zabezpečuje poskytovateľ databázovej infraštruktúry (Supabase) v rozsahu svojho plánu. 5.2 Klient si môže kedykoľvek stiahnuť vlastný úplný export údajov vo formáte JSON.

6. Organizačné opatrenia 6.1 Prístup k produkčným údajom má len nevyhnutne potrebný okruh osôb viazaných mlčanlivosťou. 6.2 Vypnutie AI funkcií na písomnú žiadosť Klienta Poskytovateľ eviduje spolu s dátumom. 6.3 Použitie obsahu zákazníka na trénovanie modelov je u Anthropicu vylúčené obchodnými podmienkami a u ElevenLabs nastavením účtu Poskytovateľa; stav je uvedený v Prílohe č. 2.

Verzia 1.2, znenie platné od 11. 9. 2026.